La empresa OpenAI reveló el 21 de octubre de 2026 que sus modelos de inteligencia artificial ayudaron a descubrir dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado por cerca del 70% de los sitios web del mundo.

El presidente de OpenAI, Greg Brockman, explicó que la empresa coordinó durante dos meses una respuesta junto con investigadores, mantenedores de PHP, la firma de seguridad Wiz, Cloudflare y organismos gubernamentales. El objetivo fue preparar correcciones y medidas de protección antes de divulgar públicamente los errores.

Publicidad

Según Brockman, investigadores de Calif, una firma de seguridad informática, detectaron una versión de la vulnerabilidad en agosto mediante GPT-5.6 Sol, como parte de la iniciativa Patch the Planet de OpenAI. En septiembre, el equipo de la empresa encontró de forma independiente una versión más completa del problema. Wiz también descubrió ambas vulnerabilidades por su cuenta.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, afectan componentes internos de PHP relacionados con la gestión de memoria y el almacenamiento de estados. Permiten ejecutar código de forma remota en servidores vulnerables sin necesidad de autenticación, lo que puede facilitar el robo de datos privados o la toma de control de los sistemas.

Como explicamos en CriptoNoticias, estas vulnerabilidades pusieron en riesgo a cientos de miles de servidores y encendieron las alarmas en el ecosistema de bitcoin (BTC) y las criptomonedas, cuya infraestructura incluye plataformas de intercambio, servicios de pagos y proveedores de wallets que utilizan PHP.

El lanzamiento de las correcciones estaba previsto inicialmente para el 22 de octubre, pero los responsables adelantaron la publicación un día después de que comenzaran a circular detalles sobre las fallas. Los mantenedores liberaron actualizaciones para PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Publicidad

Brockman también advirtió que los procesos tradicionales de detección y corrección de vulnerabilidades no podrán responder a la velocidad que alcanzará la inteligencia artificial. La empresa espera encontrar más fallas de gran impacto durante los próximos meses y señaló que trabaja en paralelo en otros problemas, incluida una vulnerabilidad de ejecución remota de código en Node.js.

Como parte de su estrategia defensiva, OpenAI anunció el compromiso de USD 1.000 millones en créditos para organizaciones que protegen infraestructuras esenciales. Brockman planteó, además, que podría ser necesario autorizar a organismos públicos a buscar sistemas vulnerables en internet y, en casos extremos, corregirlos de forma remota.

El hallazgo expone una paradoja creciente: los mismos modelos capaces de detectar errores que permanecieron ocultos durante años también pueden ayudar a los atacantes a desarrollar métodos de explotación. La ventaja dependerá no solo de quién encuentre primero una falla, sino de la capacidad de los responsables de cada sistema para corregirla antes de que sea aprovechada.

OpenAI revela cómo chatgpt ayudó a descubrir la falla crítica de PHP